惡意程序偽裝成Windows“另存為”對(duì)話框騙用戶
當(dāng)前一些通過(guò)附加及捆綁在其它應(yīng)用的惡意軟件，為了成功的安裝到用戶系統(tǒng)上，開(kāi)始使用一種較為狡猾的方式來(lái)試圖欺騙用戶。
惡意軟件分析師 Dr.Web 在本月檢測(cè)到，惡意軟件 Ticno(Trojan.Ticno.1537)，這種木馬擁有非常強(qiáng)大的 防檢測(cè) 的特點(diǎn)。
Ticno 并不像那些常規(guī)的惡意軟件下載程序一樣，盲目的去監(jiān)聽(tīng)指令，并將 payload 安裝到受感染系統(tǒng) 。它具有掃描潛在主機(jī)系統(tǒng)的功能，并以此來(lái)確定受感染的計(jì)算機(jī)，到底是一個(gè)真實(shí)的 PC ，還是一個(gè)供安全研究人員用來(lái)掃描和分析惡意軟件的虛擬機(jī) 。
根據(jù) Dr.Web 的研究分析發(fā)現(xiàn)，Ticno 會(huì)掃描以下這些進(jìn)程：
- irise.exe
- IrisSvc.exe
- wireshark.exe
- ZxSniffer.exe
- Regshot.exe
- ollydbg.exe
- PEBrowseDbg.exe
- Syser.exe
- VBoxService.exe
- VBoxTray.exe
- SandboxieRpcSs.exe
- SandboxieDcomLaunch.exe
- windbg.exe
- ollydbg.exe
- vmtools.exe
此外，它還會(huì)對(duì)以下列舉的這些計(jì)算機(jī)注冊(cè)表項(xiàng)進(jìn)行掃描：
- HKCU\Software\CommView
- HKLM\SYSTEM\CurrentControlSet\Services\IRIS5
- HKCU\Software\eEye Digital Security
- HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Wireshark
- hklm\SOFTWARE\ZxSniffer
- HKCU\Software\Win Sniffer
- HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\APIS32
- HKCU\Software\Syser Soft
- hklm\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Oracle VM VirtualBox Guest Additions
- HKLM\SYSTEM\CurrentControlSet\Services\VBoxGuest
- HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Sandboxie
- HKCU\Software\Classes\Folder\shell\sandbox
- HKCU\Software\Classes\*\shell\sandbox
如果這些檢查中超過(guò)三個(gè)以上成功匹配，Ticno 就會(huì)停止掃描動(dòng)作，并會(huì)啟動(dòng)一個(gè) Windows Explorer 進(jìn)程來(lái)作為誘餌 。
但是，如果這些檢查都沒(méi)問(wèn)題的話，Ticno 就會(huì)向系統(tǒng)用戶彈出一個(gè)“另存為”的對(duì)話框，要求用戶將名為 1.zip 的文件保存到計(jì)算機(jī)上 。
Ticno 提示用戶，將文件保存到磁盤 [來(lái)源：Dr.Web]
在這里有經(jīng)驗(yàn)的用戶可能就會(huì)察覺(jué)到，這種無(wú)來(lái)源的未知安裝程序，可能會(huì)給自己的計(jì)算機(jī)帶來(lái)一定的風(fēng)險(xiǎn)。
但不幸的是，并不是所有用戶都有這么好的安全意識(shí)。通常情況下，他們都會(huì)隨手的就點(diǎn)擊保存按鈕。
其實(shí)如果你仔細(xì)的查看“另存為”彈窗的左下角，你就會(huì)發(fā)現(xiàn)那里有一串帶有鏈接的字“Additional settings(其它設(shè)置)”。我們點(diǎn)開(kāi)鏈接看看，它的背后到底隱藏著什么 。
Ticno隱藏框 [來(lái)源：Dr.Web]
Ticno 用于廣告軟件和 Chrome 擴(kuò)展程序推廣
Dr.Web 說(shuō)這些打包為 Windows 軟件或 Chrome 擴(kuò)展的壓縮包，其實(shí)里面包含的都是些廣告軟件的安裝選項(xiàng) 。一旦你安裝了它，就會(huì)在你的計(jì)算機(jī)上一次性安裝以下程序：Trojan.ChromePatch.1，Trojan.Ticno.1548，Trojan.BPlug.1590，Trojan.Triosir.718，Trojan.Clickmein.1 和 Adware.Plugin.1400 。
除了以上那些非法的應(yīng)用程序，其中也包含著一些合法的應(yīng)用程序。如 Amigo 瀏覽器 和 Mail.ru 開(kāi)發(fā)的 HomeSearch@Mail.ru 也包括在內(nèi)。這很可能是軟件聯(lián)盟安裝任務(wù)的一部分，Ticno 的作者從中應(yīng)該也有不錯(cuò)的收益 。
如果用戶沒(méi)有及時(shí)發(fā)現(xiàn)此鏈接，并將文件保存，“另存為”對(duì)話框?qū)⑥D(zhuǎn)換為一個(gè)安裝程序 。
Ticno 開(kāi)始安裝過(guò)程，并非文件下載 [來(lái)源：Dr.Web]
